Mikrotik od Zera #15- Capsman w firmie cz. 2

Wprowadzenie

W poprzedniej części przygotowaliśmy Capsmana z wykorzystaniem różnych podsieci i nie zależnych serwerów DHCP. Dbając o bezpieczeństwo użytkowników, aplikacji czy serwerów, każda firma powinna rozważyć mikrosegmentacje sieci. Podział sieci na mniejsze wydzielone kawałki, zapewnia większą kontrolę nad tym co się w niej dzieje. Najprostszą metoda mikrosegmentacji jest wprowadzenie VLANów. Przygotowane wcześniej vlany możemy bez problemu rozgłaszać za pomocą Capsmana w Mikrotiku. Zaczniemy od przygotowaniu kilku vlanów. Dobrą praktyką jest używanie osobnego vlanu managmentowego odpowiedzialnego za zarządzanie urządzeniami. W naszym przypadku ID takiego vlanu to 77. Bazując na poprzednich konfiguracja przygotujemy osobny vlan dla Biura i osobny vlan dla Gości.

Router hAP ac3 LTE pracuje jako Capsman, router hAP ac3 jako CAP i mały router map lite, także jako CAP.

Mikrotik Capsman VLAN Local Forwarding

Konfiguracja Routera Głównego

W pierwszym kroku, zaczynamy od przygotowania nowego Bridge o nazwie switch, dodajemy do niego interfejsy sieciowe, do których podłączone są CAP. Ether4, Ether5 oraz Ether1 do którego podłączona jest moja stacja robocza.

Mikrotik Capsman Local Forwarding VLAN

W zależności od istniejącej konfiguracji sieci, możemy dowolne vlany rozciągnąć na Capsmanie. W obecnej konfiguracji Capsman będzie pełnił także rolę głównego routera z VLANami i dhcp serwerem. Przechodzimy na Interfaces->Vlan i dodajemy nowe vlany.

Mikrotik Capsman Local Forwarding VLAN

Tworzymy 3 nowe VLANy:

  • VLAN77-MGMT: podsieć z ręcznym przydzielaniem adresów ip
  • VLAN100-Biuro: podsieć przeznaczona dla biura, z dhcp serverm
  • VLAN200-Gosc: podsieć przeznaczona dla gości, także z dhcp serwerem
Mikrotik Capsman Local Forwarding VLAN

Do poprawnej pracy serwera dhcp potrzebujemy adresacji IP. Przechodzimy na IP->Addresses i znakiem plusa tworzymy nowe wpisy. Pamiętaj o podaniu maski przy tworzeniu adresacji.

  • VLAN77-MGMT – 192.168.77.1/24
  • VLAN100-Biuro – 192.168.100.1/24
  • VLAN200-Gosc – 10.10.200.1/24
Mikrotik Capsman Local Forwarding VLAN
Mikrotik Capsman Local Forwarding VLAN

Przechodzimy na IP->DHCP Server i dodajemy dwa serwery. Jeden dla podsieci biurowej, drugi dla podsieci gościnnej. Standardowo skorzystamy z kreatora DHCP Setup.

Mikrotik Capsman Local Forwarding VLAN

Konfiguracja Capsmana

Analogicznie jak w poprzednich częściach konfiguracje zaczynamy od przygotowania odpowiednich wpisów w Datapaths. Zaczynamy o przygotowania datapath dla sieci biurowej, czyli przekazujemy vlan 100. Znakiem plusa dodajemy nowy wpis.

  • Name: podajemy dowolnie
  • Local Forwarding: musi być zaznaczone
  • Client to Client Forwarding: zaznaczamy tylko dla biura
  • VLAN Mode: wybieramy use tag
  • VLAN ID: 100 dla biura, 200 dla gości

Datapaths

Mikrotik Capsman Local Forwarding VLAN
Mikrotik Capsman Local Forwarding VLAN

Security Cfg.

Idąc w prawo po zakładkach przechodzimy na Security Cfg, które jest odpowiedzialne za rodzaj szyfrowania oraz ustawienie hasła dla sieci WiFi.

Mikrotik Capsman Local Forwarding VLAN
Mikrotik Capsman Local Forwarding VLAN

Configurations

Jednym z ostatnich kroków jest połączenie wszystkich wcześniej konfigurowanych ustawień w jeden spójny config. Przechodzimy na zakładkę Configurations i znakiem plusa dodajemy nowy wpis. W tym miejscu możemy na nowo zdefiniować parametry capsmana, bądź skorzystać z tych wcześniej przygotowanych. Dla zachowania większego porządku zalecam każdemu, aby tworzyć osobne wpisy w capmsanie, a dopiero na końcu wskazywać je tylko w ogólnym configu.  Tworzymy dwie niezależne sieci dla Biura i Gości, dlatego musimy utworzyć dwa osobne configi.

Mikrotik Capsman Local Forwarding VLAN
Mikrotik Capsman Local Forwarding VLAN
Mikrotik Capsman Local Forwarding VLAN

Provisioning

W zakładce provisioning wskazujemy jakie Access Pointy mogą pobierać konfigurację z capsmana. Pozostawiając 00:00:00:00:00 w polu Mac Address, nie nakładamy żadnych ograniczeń i każdy CAP będzie mógł podłączyć się do Capsmana. Definiując Mac Address możemy przygotować konfigurację per urządzenie.

Mikrotik Capsman Local Forwarding VLAN

Uruchomienie Capsmana

Przechodzimy na zakładkę Cap Interface i klikamy w Manager. Zaznaczamy opcje Enabled, która aktywuje usługę Capsmana.

Mikrotik Capsman Local Forwarding VLAN

Konfiguracja CAP’a

Konfiguracja Access Pointów z włączoną opcja Local Forwarding znacząco różni się od poprzednich ustawień. Jak pamiętasz wcześniejsze ustawienia sprowadzały się do dodania modułów bezprzewodowych do Capsmana. W przypadku Local Forwarding obsługa całego ruchu zostaje na CAPie dlatego musimy skonfigurować więcej opcji.

Dodanie Bridge

Z bocznego menu wybieramy Bridge i znakiem plusa tworzymy nowy wpis. Następnie w tym samym oknie przechodzimy na Ports i dodajemy interfejsy do bridge. Bardzo ważne, aby dodać także interfejs, którym poprzez który łączymy się z resztą sieci. W moim przypadku jest to ether1.

Mikrotik Capsman Local Forwarding VLAN
Mikrotik Capsman Local Forwarding VLAN

Adresacja i VLANy

VLAN100 i VLAN200 rozgłosimy za pomocą Capsmana i nie trzeba ich ustawiać ręcznie na Capie, ale VLAN77, czyli nasza podsieć managmentowa musi zostać skonfigurowana ręcznie. Przechodzimy na Interfaces->VLAN i dodajemy VLAN77.

Mikrotik Capsman Local Forwarding VLAN

W podsieci managmentowej nie ma serwer DHCP, dlatego w kolejnym kroku przypisujemy ręcznie adres IP dla VLANu 77. Z bocznego menu wybieramy IP->Addresses i znakiem plusa dodajemy nowy wpis.

Mikrotik Capsman Local Forwarding VLAN

Dodanie do Capsmana

Ostatnim krokiem jest dodanie modułów bezprzewodowych do Capsmana. Przechodzimy na Wireless i klikamy w opcje CAP. W przypadku Local Forwarding nie wskazujemy Discovery Interfaces, a Bridge wybieramy ręcznie. Bardzo ważne jest, aby podać poprawny adres IP przy Capsman Addresses.

Mikrotik Capsman Local Forwarding VLAN

Materiał Video

Add a Comment

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *